(57)【要約】【課題】本発明はシステムプログラムの更新を行なう制御システムに関し、システムプログラム更新時においても、制御系の動作を安定に維持することができる制御システムを提供することを目的としている。【解決手段】エンジニアリングコンピュータ３０で安全システム制御ステーション４０のシステムプログラムの更新を行なうようにした制御システムにおいて、  前記エンジニアリングコンピュータ３０内にシステムプログラムを更新するシステムプログラム更新ツール３１を設け、前記安全システム制御ステーション４０内に、前記システムプログラム更新ツール３１からのシステムプログラム更新要求が入った時には、制御システムで制御される出力モジュール２０の動作状態をその時の状態に維持する制御手段４１を設けて構成される。【選択図】図１
2007265094.tif 000002
【特許請求の範囲】
【請求項１】
エンジニアリングコンピュータで安全システム制御ステーションのシステムプログラムの更新を行なうようにした制御システムにおいて、
前記エンジニアリングコンピュータ内にシステムプログラムを更新するシステムプログラム更新ツールを設け、
前記安全システム制御ステーション内に、前記システムプログラム更新ツールからのシステムプログラム更新要求が入った時には、制御システムで制御される出力モジュールの動作状態をその時の状態に維持する制御手段を設けた、
ことを特徴とする制御システム。
【請求項２】
前記制御手段は、前記エンジニアリングコンピュータからのシステムプログラム更新要求を受け付けて出力モジュールに対して、その時の出力モジュールの動作状態を維持するためのフォールバック禁止フラグを設定するシステム更新要求受付部と、システムプログラムのダウンロードが終了したら所定の終了処理を行なった後、前記フォールバック禁止フラグを解除するシステム更新時初期化処理部と、を有することを特徴とする請求項１記載の制御システム。
【請求項３】
前記システム更新要求受付部は、前記出力モジュールに対してフォールバック禁止フラグを設定して、前記出力モジュールの動作状態をその時の状態に維持し、システムプログラムの更新処理が終了すると前記システム更新時初期化処理部は出力モジュールへのフォールバック禁止フラグを解除し、出力モジュールの動作をオンラインで制御するようにしたことを特徴とする請求項２記載の制御システム。
【請求項４】
前記安全システム制御ステーション内に、システムプログラム更新前に関連する他の制御ステーションにシステムプログラムの更新を通知する通知手段と、その通知を受け取ったら該当制御ステーションが再起動するまで異常通知を受け付けないようにする受信拒否手段と、を設けたことを特徴とする請求項１乃至３の何れかに記載の制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は制御システムに関する。更に詳しくは、安全計装システムの中でプラント運転を行なう制御ステーションのシステムプログラムの更新時の処理に関するものである。
近年、プラント機器の信頼性が向上し、運転稼働時間が延びている中、突然の災害や重大な故障から、プラントのみならず、人命や自然環境を守る目的を持つ安全計装システムの連続運転時間も延ばしていく必要がある。万一、制御ステーションのシステムプログラムに保守の必要性があった場合、システムプログラムを更新するためには、数年おきに実施される定期点検修理を待つか、プラントの運転に影響が出ないようにユーザ側で工夫する必要がある。従って、できる限り短時間で工数のかからないシステムプログラム更新の仕組みの必要性が要望されている。
【背景技術】
【０００２】
図４はプラント制御システムにおけるシステムプログラム変更処理の流れを示す図である。図は二重化構成をとっているプラント制御システムのシステムプログラム更新処理の流れを示している。図において、１は旧システムソフトウェア、２は新システムソフトウェア、３は更新中のアプリシーションデータ、４は更新が停止しているアプリシーションデータである。
【０００３】
（ａ）は制御系ＣＰＵが旧システムソフトウェアで動作し、待機系ＣＰＵが旧システムソフトウェアで待機状態にある。ユーザは、エンジニアリングパーソナルコンピュータ（以下エンジニアリングＰＣと略す）上のシステムソフトウェア変更コマンドを起動する。このコマンドを受けると、Ｖネット経由で（ｂ）に示すように先ず待機側ＣＰＵを停止させ、制御ステーションを制御系ＣＰＵでシングル運転状態にする。
【０００４】
その後、（ｃ）に示すように待機側ＣＰＵに新システムソフトウェアをダウンロードする。制御側ＣＰＵは、（ｄ）に示すように制御側ＣＰＵのアプリシーションを停止側ＣＰＵのアプリシーションに等値化後、（ｅ）に示すように制御側ＣＰＵの動作を停止する。その約２秒後に、（ｆ）に示すように新しいシステムプログラムで、元待機側ＣＰＵが制御側ＣＰＵとして立ち上がる。
【０００５】
この立ち上がり時において、制御ステーションは、機能ブロックがマン（ＭＡＮ）・フォールバックしないようにする等、独自の初期化動作を行なう。ここで、マン・フォールバックとは、ユーザからの指示で動く状態（手動操作モード）をいう。
【０００６】
図５はシステムプログラムの更新手順を示すフローチャートで、ユーザ側の動作を示している。先ず、該当制御ステーションから出力される信号をチェックする（Ｓ１）。次に、制御ステーションが停止すると、個々に出力値が変化しない（落ちない）ように制御ステーションと例えばバルブ等の操作機器間で出力が保持されるような養生を行なう（Ｓ２）。必要な養生が完了したら、制御ステーションに対してプログラムのダウンロードを実行する（Ｓ３）。
【０００７】
次に、制御ステーションからの出力値が変動しないことを確認してから、アプリケーションロジックを出力し（Ｓ４）、制御ステーションからの出力にひとつひとつ戻していく（Ｓ５）。ここで、アプリケーションロジックとは、システムを安全動作させるための論理をいう。このように制御することで、新しくダウンロードしたソフトウェアで出力モジュールを制御することが可能となる。
【０００８】
図６は制御ステーションの外部で養生する例を示す図である。ここで、養生とは手当することをいう。図において、１０は制御ステーション、２０は該ステーション１０から制御される出力モジュールである。２１は該出力モジュール２０からの駆動出力を受けてその弁の開度を調整する調整弁、２２は該調整弁２１と並列に設けられた手動による調整弁である。そして、制御ステーション１０が停止して、出力モジュール２０が調整弁２１を閉じた時でも、制御ステーション１０の停止前に開いていた弁の開度と同じ開度になるように調整弁２２をユーザが手動で調整する。この結果、出力モジュール２０の出力が変化してもプロセスの流れに影響がないようにしている。
【０００９】
従来のこの種の装置としては、システム側が停電してもバックアップ側制御機器の稼働状態が確保できると共に、システム稼働状態でのメンテナンス作業ができる制御信号切替器が知られている（例えば特許文献１参照）。
【特許文献１】特開平１１−９５８０１号公報（段落００１０〜００１５、図１、図２）
【発明の開示】
【発明が解決しようとする課題】
【００１０】
プロセスオートメーションにおけるオンラインシステムの変更は、待機側ＣＰＵを使用してシステムプログラムを切り替えるものであるが、最終的に現用系側と待機側の両側のＣＰＵを停止する必要があることから、安全システムでは、出力モジュールが異常出力値を出力してしまうため、この出力モジュールで制御されるフィールド機器が誤動作を起こしてしまう。
【００１１】
オフラインダウンロードで出力先の状態が変わらないようにするために、ユーザは制御ステーションから先の全ての出力先に対して養生する必要がある。これには、膨大な保守時間がかかってしまう。また、予め手動で制御できるような仕組みをユーザが用意するのも、費用がかかる上に、人的エラーによる新たな問題が発生するおそれがある。更に、このシステムプログラムの更新期間に重大な異常が発生したら、安全にプラントを停止させることができないという問題点があるため、可能な限り迅速に作業を完了させなければならないという問題もある。
【００１２】
本発明はこのような課題に鑑みてなされたものであって、システムプログラム更新時においても、制御系の動作を安定に維持することができる制御システムを提供することを目的としている。
【課題を解決するための手段】
【００１３】
（１）請求項１記載の発明は、エンジニアリングコンピュータで安全システム制御ステーションのシステムプログラムの更新を行なうようにした制御システムにおいて、前記エンジニアリングコンピュータ内にシステムプログラムを更新するシステムプログラム更新ツールを設け、前記安全システム制御ステーション内に、前記システムプログラム更新ツールからのシステムプログラム更新要求が入った時には、制御システムで制御される出力モジュールの動作状態をその時の状態に維持する制御手段を設けた、ことを特徴とする。
（２）請求項２記載の発明は、前記制御手段は、前記エンジニアリングコンピュータからのシステムプログラム更新要求を受け付けて出力モジュールに対して、その時の出力モジュールの動作状態を維持するためのフォールバック禁止フラグを設定するシステム更新要求受付部と、システムプログラムのダウンロードが終了したら所定の終了処理を行なった後、前記フォールバック禁止フラグを解除するシステム更新時初期化処理部と、を有することを特徴とする。
（３）請求項３記載の発明は、前記システム更新要求受付部は、前記出力モジュールに対してフォールバック禁止フラグを設定して、前記出力モジュールの動作状態をその時の状態に維持し、システムプログラムの更新処理が終了すると前記システム更新時初期化処理部は出力モジュールへのフォールバック禁止フラグを解除し、出力モジュールの動作をオンラインで制御するようにしたことを特徴とする。
（４）請求項４記載の発明は、前記安全システム制御ステーション内に、システムプログラム更新前に関連する他の制御ステーションにシステムプログラムの更新を通知する通知手段と、その通知を受け取ったら該当制御ステーションが再起動するまで異常通知を受け付けないようにする受信拒否手段と、を設けたことを特徴とする。
【発明の効果】
【００１４】
（１）請求項１記載の発明によれば、システムプログラム更新要求が入力された場合でも、制御手段が出力モジュールの動作状態をその時の状態に維持するように制御するので、システムプログラム更新時においても、制御系の動作を安定に維持することができる。
（２）請求項２記載の発明によれば、システム更新要求受付部とシステム更新時初期化処理部を設けることにより、システムプログラム更新時の制御系の動作を安定に維持することができる。
（３）請求項３記載の発明によれば、システムプログラム更新中はフォールバック禁止フラグの設定により出力モジュールの動作状態をその時の状態に維持し、システムプログラムのダウンロードが完了したらフォールバック禁止フラグを解除して出力モジュールをオンラインで動作させるようにすることができる。
（４）請求項４記載の発明によれば、各制御ステーション間でプログラム更新時の動作状態を安全な状態となるように制御するので、ユーザはどの制御ステーション間でデータがやりとりされているのかを予め意識する必要がなくなる。
【発明を実施するための最良の形態】
【００１５】
以下、図面を参照して本発明の実施の形態例を詳細に説明する。図１は本発明の一実施の形態例を示すブロック図である。図６と同一のものは、同一の符号を付して示す。図において、３０はエンジニアリングコンピュータである。該エンジニアリングコンピュータ３０としては、例えばパソコン（ＰＣ）が用いられる。３１は該エンジニアリングコンピュータ３０に含まれる、システムプログラム更新ツールである。
【００１６】
４０はエンジニアリングコンピュータ３０と制御バス１５を介して接続される安全システム制御ステーション（以下制御ステーションと略す）である。制御ステーション４０において、４１は、エンジニアリングコンピュータ３０からのプログラム更新要求が入ると、制御システムで制御される出力モジュール２０の動作状態をその時の状態に維持する制御手段である。該制御手段４１としては、例えばＣＰＵが用いられる。該制御手段４１には、システム更新要求受付部４１ａと、システム更新時初期化処理部４１ｂが含まれる。システム更新要求受付部４１ａは、エンジニアリングコンピュータ３０からのシステムプログラム更新要求を受け付けて出力モジュール２０に対してその時の出力モジュール２０の動作状態を維持するためのフォールバック禁止フラグを設定する。具体的な一例としては、例えばフィールド機器が図６に示すような調整弁であった場合、該調整弁の駆動を電圧信号により行ない、その調節弁の開度をそのままの状態に維持することが考えられる。
【００１７】
一方、システム更新時初期化処理部４１ｂはシステムプログラムのダウンロードが終了したら前記フォールバック禁止フラグを解除する。ここで、システム更新要求受付部４１ａをＢ−１、システム更新時初期化処理部４１ｂをＢ−２と表す。
【００１８】
２０はフィールド機器を駆動する出力モジュールである。該出力モジュール２０は、フィールド機器（図示せず）に対してフォールバックマスク機構を有している。このフォールバックマスク機構とは、出力モジュール２０の動作状態をその時の状態に維持する機能のことである。これにより、システム更新要求受付部４１ａからの指示でＣＰＵ４１が一時的に停止してもフォールバック動作をマスクすることができる。ＣＰＵ４１と出力モジュール２０間はＩ／Ｏバス１６で接続されている。このように構成されたシステムの動作を説明すれば、以下の通りである。
【００１９】
図２は本発明のプログラム更新のシーケンスを示す図である。エンジニアリングコンピュータ３０と、ＣＰＵ４１と、出力モジュール２０間の信号のやりとりを示している。エンジニアリングコンピュータ３０側は、システムプログラム更新ツール３１の処理を示している。先ず、エンジニアリングコンピュータ３０は、ＣＰＵ４１に対してプログラム更新が可能かどうかのチェックを行なう（Ｓ１）。プログラム更新要求が可能であれば、システム更新要求受付部４１ａに対してプログラム更新要求を行なう（Ｓ２）。
【００２０】
このプログラム更新要求を受けたシステム更新要求受付部４１ａは、出力モジュール２０を検索し、これらの出力モジュール２０に対してフォールバック禁止フラグを設定していく（Ｓ３）。この結果、このフォールバック禁止フラグを設定された出力モジュール２０は、ＣＰＵ４１が停止してもその時の動作状態を維持する。つまり、出力モジュール２０はフィールド機器をその時の動作状態を維持するように駆動することになる。
【００２１】
次に、エンジニアリングコンピュータ３０は、ＣＰＵ４１に対して出力無効状態への変更指示を行なう（Ｓ４）。次に、ＣＰＵ４１に対してセキュリティレベルを０に変更する指示を行なう（Ｓ５）。ここで、セキュリティレベルとはプログラムを書き替えることができるか否かを示すものであり、セキュリティレベル０とは、プログラムを書き替えることができる状態をいう。そして、ＣＰＵ４１に対してストップ指令を出してＣＰＵ４１の動作を停止させる（Ｓ６）。このようにして、ＣＰＵ４１が停止したら、エンジニアリングコンピュータ３０は、変更するシステムプログラム（新プログラム）のみをＣＰＵ４１に対してダウンロードする（Ｓ７）。
【００２２】
エンジニアリングコンピュータ３０は、システムプログラムのダウンロードが完了したら、ＣＰＵ４１に対してＣＰＵスタート指令を発行する（Ｓ８）。立ち上がったＣＰＵ４１は、出力モジュール２０の現在の出力値を確認し、自身のデータ格納領域に設定する他、フォールバック禁止フラグを解除する（Ｓ９）。ＣＰＵ４１は、フォールバック禁止フラグが確実にオフになっているかどうかの確認を行なう（Ｓ１０）。
【００２３】
フォールバック禁止フラグが確実にオフになっていることを確認したら、ＣＰＵ４１はエンジニアリングコンピュータ３０に対して処理完了通知を行なう（Ｓ１１）。最後にエンジニアリングコンピュータ３０は、ＣＰＵを出力有効状態に変更して（Ｓ１２）、アプリシーションロジックの実行結果を出力モジュールに設定し、全ての処理が完了する。上述の動作において、ΔＴはフォールバック禁止フラグが設定されてから、フォールバック禁止フラグが解除されるまでの時間であり、デマンドによるシャットダウン動作ができない時間である。本発明によれば、この時間ΔＴを大幅に短くすることができる。
【００２４】
このように、本発明によれば、システムプログラム更新要求が入力された場合でも、制御手段（ＣＰＵ）４１が出力モジュール２０の動作状態がその時の状態に維持されるように制御するので、システムプログラム更新時においても、制御系の動作を安定に維持することができる。
【００２５】
また、システム更新要求受付部とシステム更新時初期化処理部を設けることにより、システムプログラム更新時の制御系の動作を安定に維持することができる。
更に、システムプログラム更新中はフォールバック禁止フラグの設定により出力モジュールを制御する電圧を一定に維持し、システムプログラムのダウンロードが完了したらフォールバック禁止フラグを解除して出力モジュールをオンラインで動作させるようにすることができる。
【００２６】
制御ステーション４０は、Ｉ／Ｏモジュールだけでなく、制御ステーション間通信を使って他の制御ステーションともデータのやりとりを行なっている。図３は制御ステーション間通信を行なっているシステムのプログラム更新の説明図である。図では、複数の制御ステーション４０が相互に接続されている。この図では、制御ステーション１〜制御ステーション４までの４台が接続されている例を示している。このうち、制御ステーション１がシステムプログラムを更新する更新ステーションであるものとする。
【００２７】
この場合において、システムプログラム更新前に、関連する制御ステーション４０にシステムプログラム更新を通知する仕組みと、その通知を受け取ったら該当制御ステーション４０が再起動するまで、異常をマスクする仕組みを通信先制御ステーション４０に設ける。図において、４５はシステムプログラム更新通知をする通知手段、４６はプログラム更新通知を受け取ったら該当制御ステーション４０が再起動するまで異常通知を受けないようにする受信拒否手段である。
【００２８】
制御ステーション１のシステムプログラムを更新する時、通知手段４５はシステムプログラム更新を他の制御ステーション４０に対して通知する。この通知を受けた他の制御ステーション４０側では、受信拒否手段４６が制御ステーション１からの異常通知の受け取りを拒否する。このようにすれば、ユーザはどの制御ステーション４０間でデータがやりとりされているのかを予め意識する必要はなくなる。
【００２９】
以上説明したように、本発明によれば、以下に示すような効果が得られる。
・フィールド側での保守のための養生が必要なく、システムプログラムの更新が可能である。
・システムプログラムの更新をコマンドツールで実行することにより、短時間でシステムプログラムの更新を完了させることができる。従って、深刻な異常が発生してもプラントをシャットダウンできない危険な時間（前述した時間ΔＴ）を短くすることができる。
・操作機器が誤動作しないように制御ステーションの外側で養生する必要がないため、プラントの構成を簡略化でき、保守にかかるコストを低減することができる。
・制御ステーションがＣＰＵシングル構成の場合でも、システムプログラムの更新が可能となる。
【図面の簡単な説明】
【００３０】
【図１】本発明の一実施の形態例を示すブロック図である。
【図２】本発明のプログラム更新のシーケンスを示す図である。
【図３】制御ステーション間通信を行なっているシステムのプログラム更新の説明図である。
【図４】プラント制御システムにおけるシステムプログラム更新処理の流れを示す図である。
【図５】システムプログラムの更新手順を示すフローチャートである。
【図６】制御ステーションの外部で養生する例を示す図である。
【符号の説明】
【００３１】
１５    制御バス
１６    Ｉ／Ｏバス
２０    出力モジュール
３０    エンジニアリングコンピュータ
３１    安全システム用システムプログラム更新ツール
４０    安全システム制御ステーション
４１    ＣＰＵ
４１ａ  システム更新要求受付部
４１ｂ  システム更新時初期化処理部
【図１】
2007265094.tif 000003
【図２】
2007265094.tif 000004
【図３】
2007265094.tif 000005
【図４】
2007265094.tif 000006
【図５】
2007265094.tif 000007
【図６】
2007265094.tif 000008